Risque

Exécution de code arbitraire.

Systèmes affectés

  • Microsoft Outlook 2000 ;
  • Microsoft Outlook 2002.

Résumé

Un utilisateur d'Outlook utilisant l'option Word pour répondre à son courrier électronique peut exécuter à son insu du code arbitraire sur sa machine.

Description

Une option de Outlook permet de choisir Word comme éditeur de texte pour répondre au courrier électronique. Lors de la lecture d'un mél, Outlook utilise les paramètres de sécurité d'Internet Explorer. Par contre si la réponse s'effectue par le biais de Word, ce sont les paramètres de Word qui seront utilisés. Un utilisateur répondant à un courrier contenant un script malicieux exécutera alors, lors de la réponse, ce script sur sa machine.

Contournement provisoire

Ne pas selectionner WORD pour répondre au courrier dans la configuration d'Outlook.

Solution

Se référer au bulletin de sécurité de Microsoft (voir paragraphe Documentation) pour connaitre la disponibilité des correctifs.

Documentation

Bulletin Microsoft :

http://www.microsoft.com/technet/security/bulletin/MS02-021.asp